התשובה הקצרה היא פריצה חסרת תקדים למערכות התשלום החכמות של מספר רשויות מקומיות באזור המרכז. בזמן שהרשת מוצפת בשמועות על שודדי בנקים או מעילות ענק של פוליטיקאים, המציאות הרבה יותר מתוחכמת, מודרנית ומטרידה. מיליוני שקלים נשאבו בחודשים האחרונים מתקציבי ציבור באמצעות חולשת אבטחה שאיש לא צפה, והצו נועד בראש ובראשונה למנוע כאוס ציבורי ופגיעה בחקירה הפעילה.
לא שוד בנקים, אלא שוד סייבר לאומי מתוחכם
כבר שבועות ארוכים שישראלים רבים נחשפים לחצאי אמיתות, תיאוריות קונספירציה וסרטונים ויראליים ברשתות החברתיות לגבי "הגניבה הגדולה של העשור". כעת, עם צמצום קל של ההגבלות, ניתן לחשוף כי היעד לא היה כספות פיזיות או משאיות ברינקס, אלא התשתית הדיגיטלית העירונית שכולנו מסתמכים עליה ביומיום כדי לשלם מיסים, קנסות ושירותים.
האקרים – שכרגע מערכת הביטחון עדיין בוחנת האם הם פועלים מטעם מדינת אויב כחלק מלוחמה כלכלית או שמדובר בארגון פשיעה בינלאומי מתקדם – זיהו פרצה מרכזית באחת מתוכנות הליבה המנהלות את הגבייה המוניציפלית. במקום למשוך סכום עצום ורועש בבת אחת שהיה מפעיל את כל נורות האזהרה, הם בחרו לפעול בשקט תעשייתי.
הקבוצה התוקפת ביצעה פעולות "מיקרו-משיכה", טכניקה המוכרת בעולם אבטחת המידע כ-Salami Slicing. הם שאבו שקלים בודדים מתוך מאות אלפי עסקאות של תושבים תמימים, והסוו את הפעילות הזו במערכת כעמלות סליקה טבעיות ותקינות לחלוטין.
למה צו איסור הפרסום נשאר בתוקף כל כך הרבה זמן?
בניגוד להשערות כי מדובר בניסיון טיוח ממשלתי, הסיבה האמיתית לצו איסור הפרסום נוגעת ישירות לביטחון הכלכלי של כל אחד ואחת מאיתנו. חשיפת השיטה המדויקת של הפריצה בשלבים המוקדמים הייתה עלולה לספק "מדריך הפעלה" מוכן להאקרים אחרים, ולעודד מתקפות חקיינות על עיריות נוספות שעוד לא הספיקו לאטום את הפרצה.
רשויות האכיפה, ובראשן יחידות הסייבר המתמחות של המשטרה ומערך הסייבר הלאומי, התמודדו עם מספר אתגרים קריטיים במקביל שדרשו דממת אלחוט מוחלטת:
- סגירת חור האבטחה: בוצע שדרוג שקט ומהיר של מערכות התשלום מתחת לרדאר, כדי לא לעורר חשד אצל התוקפים שאחריהם עקבו בזמן אמת.
- מעקב אחרי נתיב הכסף: חוקרי בלוקצ'יין מומחים ניסו להתחקות אחר שרשרת ארנקי הקריפטו המוסווים שאליהם נותבו עשרות מיליוני השקלים, במטרה להקפיא אותם בשיתוף פעולה עם בורסות זרות.
- מניעת פאניקה ציבורית: המערכת רצתה להבטיח שהאזרחים לא יבטלו בבת אחת את כרטיסי האשראי שלהם או יעצרו הוראות קבע, צעד שהיה עלול להוביל לקריסה פיננסית מידית של מוסדות חינוך, רווחה ושירותים מקומיים.
המשמעות האמיתית עבור הצרכן הישראלי
האירוע הדרמטי הזה משנה לחלוטין את כללי המשחק ואת הדרך שבה אנו תופסים בטיחות מוסדית. הציבור הישראלי גילה בדרך הקשה שהסכנה הגדולה ביותר לכספו כבר לא מגיעה בהכרח מניסיונות פישינג אישיים בהודעות SMS, אלא מחולשות אבטחה של גופים ציבוריים ענקיים שמחזיקים באופן קבוע בפרטי האשראי של כולנו.
ככל שהחקירה תתקדם ויוותרו עוד חלקים מצו איסור הפרסום, יייתכן מאוד שנראה דרישות רגולטוריות חדשות לחלוטין לחברות הפינטק והסליקה. גופים המספקים שירותים למגזר הציבורי ייאלצו לעמוד מעתה בתקני שקיפות, הצפנה ובקרה מחמירים פי כמה מאלה שהכרנו עד היום.
מקרים כאלה מעלים שאלה מטרידה על מידת האחריות שאנחנו יכולים וצריכים לדרוש מהגופים הממשלתיים והעירוניים המנהלים את חיינו השוטפים. האם בצל איומי הסייבר החדשים, נכון להמשיך להסתמך לחלוטין על מערכות גבייה דיגיטליות אוטומטיות ללא בקרה ידנית, או שהגיע הזמן לייצר אלטרנטיבות מבוזרות ובטוחות יותר לכספי הציבור שלנו?
